Số 455Quản lý Rủi ro

Codecov (01–04/2021): script tải lên bị sửa trong hơn hai tháng và bí mật trong pipeline CI của khách hàng bị đe doạ

Một lỗi trong quy trình tạo Docker image của Codecov làm lộ khoá cho phép sửa Bash Uploader — script mà hàng nghìn dự án chạy trong pipeline CI. Từ 31/1/2021, script bị sửa để gửi biến môi trường của CI ra máy chủ bên ngoài, tới 1/4 mới được phát hiện nhờ một khách hàng thấy mã băm không khớp. Bài học về rủi ro khi pipeline tải và chạy mã từ bên ngoài mà không kiểm tra.

Nguyễn Thu Hà, PMP

01/09/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

Codecov là dịch vụ đo độ phủ kiểm thử. Để gửi kết quả, nhiều dự án chạy một lệnh tải Bash Uploader từ máy chủ của Codecov rồi thực thi ngay trong pipeline CI — nơi thường có sẵn token, khoá truy cập đám mây và mật khẩu cơ sở dữ liệu.

Theo thông báo an ninh của Codecov:

Một lỗi trong quy trình tạo Docker image cho phép kẻ tấn công lấy được khoá cần thiết để sửa Bash Uploader.
Từ ngày 31/1/2021, script bị sửa để gửi thông tin kho mã và biến môi trường của CI tới một máy chủ bên ngoài.
Ngày 1/4/2021, một khách hàng phát hiện mã băm SHA của script tải về không khớp với giá trị được công bố và báo cho Codecov; script được khắc phục cùng ngày.
Ảnh hưởng gồm Bash Uploader và các tích hợp dùng nó (GitHub Action, CircleCI Orb, Bitrise Step).
Codecov khuyến nghị khách hàng thay mới mọi thông tin xác thực trong biến môi trường CI và rà soát việc sử dụng chúng; người đã kiểm tra mã băm trước khi chạy có thể không bị ảnh hưởng.

Phân tích nguyên nhân theo chuẩn PMP

Pipeline CI chạy mã chưa xác minh với quyền cao
Mẫu "tải script từ Internet rồi chạy ngay" tiện lợi nhưng đặt toàn bộ bí mật của dự án vào tay bất kỳ ai sửa được script đó. Rủi ro này hiếm khi xuất hiện trong sổ đăng ký rủi ro của dự án phát triển.
Bí mật trong CI không được giới hạn phạm vi
Khi mọi bước của pipeline đều đọc được mọi biến môi trường, một công cụ đo độ phủ cũng có thể lấy khoá triển khai lên môi trường thật. Nguyên tắc quyền tối thiểu áp dụng cho cả pipeline.
Kiểm soát đơn giản đã có nhưng ít người dùng
Codecov công bố mã băm, và chính việc kiểm tra mã băm đã phát hiện sự cố. Kiểm soát chỉ có giá trị khi được đưa vào quy trình chuẩn, không phải tuỳ chọn.
Phát hiện chậm hơn hai tháng

Codecov (01–04/2021): script tải lên bị sửa trong hơn hai tháng và bí mật trong pipeline CI của khách hàng bị đe doạ

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Pipeline CI chạy mã chưa xác minh với quyền cao

Bí mật trong CI không được giới hạn phạm vi

Kiểm soát đơn giản đã có nhưng ít người dùng

Phát hiện chậm hơn hai tháng

Lẽ ra PM nên làm gì

Bước 1: Phía nhà cung cấp: giám sát tính toàn vẹn của script phát hành

Bước 2: Phía khách hàng: ghim phiên bản và kiểm tra mã băm

Bước 3: Phân hạng bí mật trong pipeline

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Sau khi Codecov thông báo, bạn là PM của một dự án dùng Bash Uploader. Bạn ưu tiên việc nào trước?

Tình huống này hữu ích với bạn?

Bình luận (0)